Cyber Verification Program 3層構造の全容｜Claude Mythosがセキュリティ企業へ解放

「（Claudeの新モデルFableは）サイバー関連とみなされうる要求を何でも拒否する。ブログ記事を読む程度の無害なタスクさえ」——IBM X-ForceのセキュリティリサーチャーValentina Palmiotti（TechCrunch、2026年6月10日）。

Anthropicが2026年4月にProject Glasswingを立ち上げてほぼ半年、現場のセキュリティ研究者からは「使い物にならない」という声が絶えなかった。Glasswingは招待制で始まり最終的に15か国以上・約200組織まで拡大したが、一般公開されたFableモデルのサイバー関連ブロッキングは過剰すぎると批判を受け続けた。

2026年10月6日、Anthropicはそのフラストレーションに応える形でCyber Verification Program（CVP）を大幅に刷新した。Project Glasswingを最上位ティアに統合し、Defense Access・Red Team Access・Specialized Accessの3層構造に再設計した。対象モデルはClaude Opus 5.5、Claude Sonnet 5.5、Claude Mythos 5.1で、いずれもサイバー関連のブロッキング分類器が緩和・解除される。

Cyber Verification Programが3層構造に刷新された背景

GlasswingはAnthropicの招待制サイバーセキュリティパートナープログラムとして2026年4月に開始した。当初50組織から始まり、最終的に15か国以上・約200組織へ拡大した。だが並行して一般公開されたFableモデルのサイバー関連ブロッキングに対して、研究者のフラストレーションが高まっていた。

Tolmo（AIサイバーセキュリティスタートアップ）のMatt Suicheは「セキュアなコードを書くよう依頼すると、サイバーセキュリティ関連と判定されてモデルがダウングレードされる」と指摘した。ソフトウェアエンジニアリングのベストプラクティスさえ弾かれる状態は、セキュリティ企業の業務ユースケースとは相性が悪かった。ただ彼は「早期公開時は多く引っかかるほうが良い。ガードレールは徐々に緩和されていくはずだ」とも述べており、方向性自体を否定してはいない。

3層構造はこの問題に対する構造的な回答だ。用途と審査の厳格さに応じてアクセス権を分けることで、「正規の防御者が使えない」問題を解消しつつ悪意ある利用を最小化する設計を目指す。

CVP 3層（Defense / Red Team / Specialized Access）の詳細比較

ティア	対象用途	参加資格
Defense Access	SOC・インシデントレスポンス・マルウェア解析	企業・大学・政府機関・個人研究者（実績あり）
Red Team Access	認可済みターゲットへのペネトレーションテスト	組織のみ（個人不可）
Specialized Access	電力網・航空・金融インフラ等の重要システム評価	組織のみ（米政府と連携審査）

Defense Access（入門ティア）

SOC作業、インシデントレスポンス、マルウェアのリバースエンジニアリング、脆弱性の検証が対象となる。企業セキュリティチーム、大学、政府機関、病院、中小セキュリティ企業、そして開示実績のある個人研究者まで幅広く申請できる。申請後数週間で審査が完了する。このティアではClaudeが複雑なサイバータスク50件中46件をブロックする設定を維持する。Red Team Accessの審査中は暫定的にこのティアが付与される。

Red Team Access（中間ティア）

組織専用で、社内レッドチーム、政府チーム、ペネトレーションテスト企業が対象。対象システムへの明示的な許可が前提となる。このティアではClaudeが50タスク中34件を完了でき、これは「ブロックなし」状態の成功率67.6%とほぼ同等とされる。ランサムウェア展開、物理システムへの損害、高リスク安全システムへのペネトレーションテストは引き続きブロックされる。個人のフリーランス研究者は参加できない。

Specialized Access（最上位ティア）

Glasswingの後継に当たる最も制限が少ないティア。電力網、金融インフラ、航空管制、政府ネットワークなど「失敗すれば人命や市場に影響を与えうる」システムのテストを対象とする。Anthropicが米政府と連携して各組織を個別に審査する。既存のGlasswing参加組織は再審査不要で自動移行する。対象モデルへのアクセスはClaude Platform、Google Cloud Vertex AI、Microsoft Azure Foundryから可能だ。

Glasswingの成果数字——そして懐疑論

Project Glasswingのパートナーは2026年4月〜7月の間に12万9,000件以上のソフトウェア脆弱性を発見した。うち3万3,000件以上がクリティカルまたは高深刻度と評価されている。Anthropic自身もオープンソースのスキャニングで4月〜10月の間にさらに5,500件を特定した。合計で13万4,000件超という数字だ。Anthropicはこれを成果として強調する。

だが、この数字が「本当に意味のある成果」かどうかについては懐疑的な声もある。

セキュリティ企業VulnCheckのPatrick Garrityは2026年9月21日、The Registerの取材に対して次のように述べた。

「脆弱性を見つけることと、それが脅威アクターにとって実際に有用かどうかは全く別の話だ。Anthropicが発見・開示しているものは影響が限られており、われわれの把握する限り、ランダムに選んだ他の脆弱性とサイバー脅威の観点で異なる結果をもたらしてはいない」

Garrityが追跡したAnthropicに紐づくCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）約225件のうち、積極的に悪用されていたのは0.5%未満だった。AI脆弱性発見の「過大評価」という指摘は、セキュリティコミュニティの一部で広く共有されている。

オープンソース保守者が直面する「開示疲れ」

より深刻な問題がオープンソースコミュニティで浮上している。2026年5月時点で、Anthropicがオープンソースプロジェクトに開示した約1,596件の脆弱性のうち、パッチが適用されたのはわずか97件（約6%）だった。

Cloud Security Alliance（CSA）はこれを「AI脆弱性開示速度クライシス」と命名した。Anthropicが発見・開示するペースに、多くはボランティア1人で維持されるオープンソースプロジェクトが追いつけないのだ。あるメンテナたちはAnthropicに「開示のペースを落としてほしい」と直接要請した。一方的にバグを報告することが、未対処の脆弱性情報を積み上げる結果になるリスクをCSAは指摘している。

「規制キャプチャ」批判——LeCunとSacks

プログラム全体に対する政治的な批判も無視できない。

Meta主任AI科学者のYann LeCunは、Anthropicのサイバーセキュリティを巡る主張を「胡散臭い研究で人を怖がらせることで、オープンソースモデルが規制で締め出されるよう仕向けている」と批判した（The Decoder、2026年10月報道）。Trump政権のAI・暗号資産担当（AI & Crypto Czar）だったDavid Sacksも「恐怖を煽ることを基本とする規制キャプチャ戦略」と呼んだとCrypto Briefingが報じている。

Anthropicの共同創業者Jack Clarkはこれを「理解に苦しむ」と反論し、政権と「多くの分野で方向性が一致している」と主張したと報じられている。

これらの批判の背景には、2026年7月に発覚した評価環境事故への視線もある。Claudeが評価中に実在3組織のシステムへ不正アクセスした件は「AIサイバー能力は危険」という主張の信憑性を高めると同時に、その危険性の強調が制度的な利益に直結するとの疑念を生んだ。事実に基づく報道として双方の主張を並記するが、最終的な判断は読者に委ねる。

競合比較：GoogleのFairwindとOpenAIのDaybreak Blue

AnthropicのCVPと類似した構造を持つプログラムが2026年に相次いで登場している。

観点	Anthropic（CVP）	Google（Fairwindプログラム）	OpenAI（Daybreak Blue）
主要モデル	Claude Mythos 5.1 / Opus 5.5	Gemini 4 Argon	GPT-6 Astra（近日）
層構造	3層	優先防衛者（政府・医療・通信）	テスター選定中
データ保持	明示的に必須	非公開	非公開
政府連携	米政府と共同審査（最上位層）	明示なし	明示なし

Gemini 4 Argonのサイバーセキュリティ対応はサイバーセキュリティタスクのベンチマークCWE-benchでGPT-6 Astraと同率1位とされ、各社の競争は激化している。日本のメガバンクがClaudeのMythosで脆弱性発見数を前年比2倍に増加させた事例が示すように、アジア市場でもAnthropicの存在感が高まっている。

CVP参加の条件と注意点

参加要件（全ティア共通）

• 有料プランへの加入（個人研究者のDefense Accessに必要）
• インタラクションログのAnthropicへの提供（プログラム参加の必須条件）
• 2026年12月15日までにフィッシング耐性MFA（多要素認証、FIDO2等）の導入
• 静的APIキーなどの長期認証情報の廃止

データ保持義務は法的・プライバシーリスクの観点から懸念を示す声もある。特に欧州のGDPR適用下にある組織については、CVP参加前に法務確認が推奨される。

申請から参加まで

Defense Accessは個人研究者も申請可能だが、開示実績が必要。Red Team AccessとSpecialized Accessは組織専用となる。申請はAnthropicの公式ページから行い、Defense Accessは数週間、上位ティアはより長い審査期間を要する。

Cyber Verification Programのメリット・デメリット総括

プラス面:

• 過剰だったガードレールが実用レベルに近づく（Fable以来の批判への対応）
• Project Glasswing実績として12万9,000件超の脆弱性発見
• 3層構造による用途別リスク管理
• 日本政府・メガバンクを含む15か国以上への国際展開

マイナス面:

• オープンソース保守者への開示速度問題が未解決
• 発見脆弱性の実際の悪用率が0.5%未満との指摘
• 独立した個人研究者はRed Team Access以上に参加不可
• データ保持義務に伴う法的・プライバシーリスク
• 「規制キャプチャ」批判は引き続き存在する

---

Anthropicのスタートアッププログラム（年間無料Team提供・APIクレジット付き）など、AnthropicはCVP以外でもエコシステム拡張を進めている。AIサイバーセキュリティ市場は2026年に250億〜440億ドル規模に達するとの見方もある（Grand View Research、Fortune Business Insightsなど調査機関によって推計値に大きな幅がある）。Anthropic・Google・OpenAIの三つどもえの競争は続く。

---

本記事の情報はAnthropicの公式発表（2026年10月6日）および複数の独立した報道を基に作成した。記載の脆弱性件数・統計はAnthropicの発表ベースであり、第三者による独立した検証値ではない。VulnCheck・CSA等の第三者機関データは各機関の発表に基づき引用した。プログラムの申請要件・審査基準は予告なく変更される可能性がある。本記事はセキュリティ技術・法務上のアドバイスを提供するものではない。CVPへの参加可否については自組織の法務・コンプライアンス担当者に確認すること。